 
DIVISION DE CAEN
Caen, le 11 mai 2017 N/Réf. : CODEP-CAE-2017-018494 Monsieur le Directeur de l'établissement AREVA NC
de La Hague 50 444 BEAUMONT-HAGUE CEDEX
OBJET : Contrôle des installations nucléaires de base AREVA NC La Hague, INB no 117 Inspection n° INSSN-CAE-2017-0450 du 28 avril 2017 Evénement significatif impliquant la sûreté - ESSINB-CAE-2017-02191 du 18 mars 2017 Réf. : Code de l'environnement, notamment son chapitre VI du titre IX du livre V. Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire concernant le contrôle des installations nucléaires de base en référence, une inspection annoncée par lettre du 27 mars 2017, a eu lieu le 28 avril 2017, à l'établissement AREVA NC de La Hague. 

Initialement prévue sur le thème de la visite générale (VG) des ateliers R7 et T72, une partie de cette inspection a été menée selon une approche de type « inspection réactive » au regard de l'événement significatif cité en objet. 

J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de cette partie d'inspection, ainsi que les principales demandes et observations qui en résultent. Celles concernant l'inspection de type VG vous parviendront ultérieurement. 

## Synthèse De L'Inspection

Le 18 mars 2017 est survenu, sur la chaîne A de l'atelier R7, un événement significatif impliquant la sûreté, ayant eu pour conséquence un écoulement de liquide radioactif, entrainant une irradiation dans une salle accessible au personnel. L'origine de cet écoulement provient d'un percement de la boîte à eau, communément désignée « water jacket », à l'intérieur de laquelle circule l'eau servant à refroidir le tube du calcinateur. Ce percement est survenu suite à une usure prématurée de cette water-jacket, induite par le blocage d'un galet sur lequel repose le tube en rotation. Au vu des circonstances de cet événement déclaré à l'ASN le 22 mars 2017, et des informations recueillies par les inspecteurs, ces derniers ont décidé de l'examiner sur site, en présence des principaux acteurs. Durant cette inspection, l'exploitant a rappelé les faits et répondu aux différentes questions des inspecteurs. Ces derniers se sont ensuite rendus en salle de conduite de l'atelier R7 pour y consulter les cahiers de suivi des installations3, les consignes à caractère temporaire et la consigne générale d'exploitation (CGE)4. Ils ont également visualisé l'historique des variations des différents paramètres de fonctionnement du calcinateur5 de la chaîne A et consulté le mode opératoire applicable. Les inspecteurs ont enfin interrogé un des opérateurs de l'atelier afin de comprendre le déroulement de l'événement et apprécier son niveau d'information sur un événement aux causes similaires, survenu en août 2016 sur l'atelier T7. Lors de cette inspection, menée sur les circonstances de l'événement significatif pour la sûreté cité en objet, l'organisation définie et mise en œuvre sur l'atelier R7 pour s'assurer de son exploitation dans des conditions sures est apparue insuffisante. L'exploitant devra notamment prendre toutes les dispositions nécessaires pour que son organisation s'avère efficace et tende à prévenir le renouvellement de pareilles situations. Il devra, par ailleurs, mettre en place un plan d'action afin de remettre en conformité l'exploitation et la maintenance de ses chaînes de vitrification, et plus particulièrement les installations de calcination et leurs équipements périphériques. 

## A Demandes D'Actions Correctives A.1 Non-Respect Du Mode Opératoire « Dérive De Vitesse Des Galets »

Les inspecteurs ont interrogé, en salle de conduite de l'atelier R7, les opérateurs au sujet de la marche à suivre en cas de déclenchement de l'alarme « défaut galet ». Ces derniers ont répondu qu'en cas de doute sur la rotation d'un galet, ils avaient pour instruction de réaliser un nettoyage de la canne de mesure de cette rotation et, éventuellement, une inspection vidéo focalisée sur le galet en cause. D'autre part, il a également été expliqué que si deux alarmes venaient à se déclencher, le calcinateur serait mis en attente de manière automatique par asservissement. Par ailleurs, le mode opératoire visuel, issu de votre système d'exploitation COGEMO V2, sur la conduite à tenir en cas de défaut détecté sur un galet, indique qu'en cas de « problème mécanique » de type « galet bloqué », l'action immédiate à réaliser est de « procéder à un arrêt longue durée de l'installation » et de « faire intervenir le service maintenance ». Le respect de ce mode opératoire, associé au REX mentionné au point A.2, doit vous conduire à arrêter l'installation dans les plus brefs délais. 

Je vous demande de mettre en place une organisation robuste sur la conduite à tenir en cas de survenue d'une avarie sur un de vos calcinateurs, celle-ci pouvant impacter la sûreté de vos installations. Je vous demande de vous assurer de la connaissance et du respect de cette conduite à tenir par l'ensemble du personnel concerné. 

## A.2 Prise En Compte Du Retour D'Expérience (Rex)

Le 2 août 2016, un événement concernant le calcinateur de la chaîne C de vitrification de l'atelier T7 vous a conduit à déclarer à l'ASN un événement intéressant au titre de la sûreté (EIS) référencé 201651402, ayant conduit au percement de l'équipement de refroidissement de ce calcinateur, avec pour conséquence un passage en surpression de cette chaîne pendant 25 minutes. L'ASN vous en a demandé le compte-rendu (CREIS) le 6 octobre 2016. Ce dernier a été transmis le 1er décembre 2016. L'analyse des causes techniques indique que l'origine de l'événement provient du « blocage d'un des deux galets supérieur de rotation du calcinateur » ayant « provoqué l'usure de ce galet et de sa bande de roulement sur le tube. La combinaison de ces usures a provoqué un changement d'inclinaison du tube, conduisant à terme à la mise en contact de l'extrémité du tube du calcinateur avec la water jacket6. Le frottement a conduit au percement de la water jacket et à une arrivée intempestive d'eau dans le calcinateur, puis dans le pot de fusion. La vaporisation de cette eau est à l'origine de la montée en pression dans le circuit de procédé. ». 

Suite à cet événement, une consigne à caractère temporaire (CCT) a été mise en place sur l'atelier T7, indiquant la nécessité de mettre à l'arrêt, dans les 5 jours, le calcinateur dont l'un des galets supérieurs viendrait à se bloquer. Cette CCT a, par ailleurs, conduit à une mise à jour des CGE de l'atelier T7 afin d'y intégrer les dispositions de la consigne, conformément à l'engagement pris dans le compte-rendu de l'EIS 2016-51402. S'appuyant sur ce retour d'expérience, les inspecteurs ont interrogé vos représentants pour savoir si une CCT avait été définie pour l'atelier R7, quasi-jumeau de l'atelier T7. Ces derniers ont indiqué qu'aucune CCT n'avait été retranscrite sur l'atelier R7, malgré la similitude entre les installations de ces deux ateliers. Je vous demande de systématiquement retranscrire dans l'atelier « jumeau », toutes les consignes à caractère temporaire ayant trait à la sûreté, mises en place dans un atelier, à l'exception des situations où la non-pertinence de cette démarche est avérée. Vos représentants ont également indiqué que, le 6 mars 2017, lorsqu'un galet supérieur du calcinateur de la chaîne A au sein de l'atelier R7, s'est bloqué, défaillance à l'origine de la déclaration de l'ESINBCAE-2017-0219, le CREIS de l'événement 2016-51402 du 29 novembre 2016 a été consulté par l'ensemble des parties prenantes de l'exploitation concernées. Les inspecteurs ont interrogé vos représentants sur la manière dont ce retour d'expérience avait été pris en compte. Il ressort de ces échanges, que l'attention a été focalisée sur le délai de 5 jours issu du REX de l'EIS 2016-51402, sans prise en compte de l'analyse des conséquences potentielles induites par la défaillance d'un galet et sans définition de mesures préventives ou d'atténuation de ces éventuelles conséquences. Or, l'analyse des risques associée à l'EIS 2016-51402 indique que : « Une arrivée intempestive d'eau dans un tube de calcinateur produit une vaporisation. Si le tirage de la ventilation « procédé » n'est pas suffisant, celle-ci peut induire une montée en pression dans le circuit de procédé. L'importance de la surpression est fonction de la puissance de chauffe du tube, du débit de l'arrivée d'eau et de l'apparition ou non d'un phénomène de caléfaction dans le tube (qui peut conduire à une arrivée directe de l'eau dans le pot de fusion). Une surpression dans le circuit de procédé pourrait conduire à une dispersion de matières radioactives en zone 4 ou en zone contrôlée accessible. ». 

Je vous demande de prendre en considération, de manière plus rigoureuse, le retour d'expérience des événements impactant la sûreté de votre établissement. Par ailleurs, les inspecteurs ont relevé que le délai de 5 jours ne s'appuyait pas sur une analyse argumentée et démonstrative de l'acceptabilité du délai retenu. Je vous demande de démontrer la pertinence du délai de cinq jours retenu pour arrêter un calcinateur en cas de blocage d'un galet supérieur et de préciser en quoi il ne s'oppose pas au mode opératoire relatif à la vitesse des galets qui est disponible sur votre système d'exploitation COGEMO V2. Je vous demande enfin de m'indiquer les raisons pour lesquelles, lors de l'événement intéressant la sûreté n°2016-51402 précité, le mode opératoire sous COGEMO V2, cité au point A.1, n'a pas été respecté pendant 18 jours et le CREIS correspondant n'en fait pas état. 

## A.3 Autorisation De Modification Provisoire D'Automatisme (Ampa)

passant le seuil de détection du niveau haut de l'intensité du moteur de secours de 5.8 A à 7,5 A, et ce, malgré le constat d'une vibration anormale signalée par le chef de quart, le moteur principal ayant disjoncté la veille. Cette action a été conduite sous couvert d'une AMPA, pouvant être assimilée à un shunt de certains équipements. Cette autorisation a été délivrée en s'appuyant sur une « analyse faite par le pôle technique » et mentionne que les risques induits pouvaient potentiellement impacter la sûreté. A la demande des inspecteurs de produire cette analyse, il ne leur a été remis qu'une copie des observations issues du « suivi des réponses et engagements vis-à-vis de l'ASN » pris suite à l'EIS 2016-51402 du 2 août 2016 précité et référencé ID17221 dans l'outil de suivi des réponses. A la lecture de ce document, il est constaté qu'à la demande d'un de vos collaborateurs, datant du 3 janvier 2017 : « merci de déterminer une durée limite avec un galet supérieur bloqué, l'exploitant se chargera de mettre ses consignes à jour », il est répondu le 16 janvier 2017 : « Le REX de cet événement est qu'après 18 jours de fonctionnement avec le galet supérieur du calcinateur bloqué, nous avons constaté un percement de la « water-jacket » et des conséquences associées. Nous n'avons jamais connu d'autre évènement similaire. L'usure de la « water-jacket » se fait petit à petit une fois le galet bloqué. On peut donc dire qu'en cas de détection de blocage du galet supérieur du calcinateur, il sera nécessaire de programmer l'arrêt de la chaîne dans un délai raisonnable (<5 jours) pour ne pas dégrader la « water-jacket », pour permettre d'effectuer une coulée (pour ne pas arrêter avec un pot plein) et pour garder la buse de coulée. » Les inspecteurs relèvent à la fois la faiblesse de l'argumentation et l'absence de mention des conséquences potentielles liées à la défaillance d'un galet. Je vous demande d'analyser les conditions de délivrance de cette AMPA compte tenu des enjeux de sûreté associés, des conséquences potentielles indirectement identifiées dans le CREIS précité et de la faiblesse de l'argumentation développée pour justifier de l'acceptabilité de poursuivre le fonctionnement du calcinateur avec un galet supérieur bloqué pendant 5 jours. Vos représentants de la sûreté opérationnelle, indépendants de l'exploitation, ont expliqué ne pas être systématiquement consultés dans le cadre de la mise en place d'une AMPA car la décision de solliciter leurs services serait de la responsabilité de l'exploitant. Au regard des enjeux de sûreté que peut avoir sur vos installations la mise en œuvre d'autorisations de modification provisoire d'automatisme ou de réglage d'instrumentation (AMPA), je vous demande de définir un périmètre dans lequel les ingénieurs de sûreté opérationnelle devront être systématiquement consultés avant toute validation. 

## A.4 Organisation Managériale De L'Exploitation

L'article 2.1.1 de l'arrêté ministériel du 7 février 20127 dispose que : 
« III. ― L'exploitant dispose en interne des capacités techniques suffisantes pour, en connaissance de cause et dans des délais adaptés, prendre toute décision et mettre en œuvre toute mesure conservatoire relevant de l'exercice de sa responsabilité mentionnée à l'article L. 593-6 du code de l'environnement. » Vous avez déployé en octobre 2016 une nouvelle organisation dite d' « Unités opérationnelles », 
autorisée par la décsion ASN no CODEP-CAE-2016-039541 du 12 octobre 20168. En annexe de cette décision, la prescription [ARE-LH-UO-02] vous demande un bilan à 3 mois. Ce document, daté du 24 février 2017 et référencé 2017-11454, au sujet de l'animation des activités de maintenance, indique que : « Les Responsables de Maintenance Fonctions Communes et de Maintenance Postée participent à la réunion quotidienne à 8h00 avec les 3 Directeurs UO, le TSQ et l'ISE durant laquelle est effectuée une revue de l'état de l'ensemble des installations du site. Ce premier point de la journée permet de faire le point sur le fonctionnement des ateliers et les interventions du poste de nuit ainsi que d'identifier rapidement les priorités de l'usine nécessitant soit l'intervention des équipes de maintenance postées, soit la mobilisation de certains prestataires. Les équipes de maintenance de chaque UO ont mis en place un point quotidien de 8h00 à 8h30. Après avoir fait le point avec le chef de quart de l'atelier auquel il est affecté, le pilote de maintenance remonte à l'encadrement de maintenance UO les priorités d'intervention. Le Responsable de Maintenance et son équipe effectuent les arbitrages et allouent les ressources d'intervention nécessaires afin de répondre aux besoins des installations. Cette organisation s'est avérée efficace. Les arbitrages effectués lors de ce point quotidien ne sont que très rarement remis en cause lors du point MV UO quotidien de 9h10 à 9h40. Quelques semaines après le démarrage de la nouvelle organisation industrielle, un point quotidien a été mis en place entre les 3 Responsables de Maintenance et un représentant de la Supply Chain chaque matin vers 9h00 afin de partager sur les besoins urgents d'approvisionnement. 

Un autre point quotidien entre le Responsable Maintenance UO et ses équipes a également été mis en place dans l'aprèsmidi afin de faire le point sur les interventions de la journée et définir les priorités du soir et du poste de nuit, celles-ci pouvant si nécessaire être transmises aux équipes de maintenance postées. Un point hebdomadaire vient compléter ces points quotidiens afin de passer en revue les indicateurs de fonctionnement, d'identifier les sujets de performance et traiter les actions de fond. » Les inspecteurs ont fait remarquer à vos représentants que, malgré les points quotidiens du management et la prise en compte du REX de l'EIS 2016-51402 dès le 6 mars 2017, les différents documents consultés en salle de conduite de l'atelier R7 (cahier de chef de quart, consignes à caractère temporaire, cahier de marche de l'atelier R7) n'ont pas permis d'établir qu'une analyse approfondie et des interventions prioritaires avaient été menées jusqu'à la survenue de l'événement ESINB-CAE-20170219, le 18 mars 2017. Vos représentants ont indiqué qu'aucune analyse spécifique n'avait été établie du 6 au 18 mars 2017 bien que le délai de mise à l'arrêt du calcinateur sous 5 jours ait été largement dépassé. Je vous demande de prendre toutes les dispositions nécessaires pour que l'organisation de l'exploitation et des activités de maintenance de l'unité opérationnelle concernée s'avère efficace et permette de prévenir le renouvellement de pareille situation. Je vous demande de rechercher toutes les causes techniques et organisationnelles du dépassement du délai de mise à l'arrêt du calcinateur, y compris les boucles de rattrapage de dérive que devraient constituer les points quotidiens de management et les points avec l'ingénieur sûreté d'exploitation (ISE) sans doute effectués dans la période du 6 au 18 mars 2017. Vous définirez des mesures préventives et correctives permettant d'éviter le renouvèlement de pareil événement significatif. Je vous demande enfin de rechercher et le cas échéant d'analyser, parmi les causes de cet événement significatif, celles susceptibles d'être en relation avec l'organisation de l'exploitation en unité opérationnelle de manière à tirer tous les enseignements pour cette dernière en associant le comité de suivi de l'organisation en UO.

## A.5 Maintenance Des Calcinateurs

Les inspecteurs ont noté que l'événement significatif du 18 mars 2017 a mis en évidence plusieurs défaillances techniques ayant rendu l'arrêt de la chaîne de vitrification A de l'atelier R7 long et délicat : 
- Perte de l'alimentation en Argon ; - Défaut de brassage du pot de fusion ; - Défaut d'alimentation du calcinateur ; - Défaut d'alimentation en produits de fission ; - Défaut de recyclage du dépoussiéreur ; - Défaut d'inducteur. 

Précédemment à cet événement, deux événements concernant les calcinateurs ont été déclarés en 2016 : 
- L'événement intéressant la sûreté du 2 août 2016, précédemment évoqué ; - L'événement significatif impactant la sûreté ESINB-CAE-2016-0778 du 7 septembre 2016, concernant le calcinateur de la chaîne B de l'atelier R7, ayant conduit à une surpression suite à une défaillance du système d'appoint en eau du dépoussiéreur. 

Je vous demande de mettre en place, dans les meilleurs délais, un plan d'action visant à établir : 
- l'état de l'ensemble de vos calcinateurs et de leurs équipements périphériques dans un premier temps ; 
- les mesures, correctives et préventives, que vous comptez réaliser, afin de vous assurer du fonctionnement pérenne de ces installations dans un second temps. 

Au regard de ce qui précède, la gestion de la défaillance à l'origine de l'événement significatif impliquant la sûreté, survenu le 18 mars 2017 dans l'atelier R7 de votre établissement de La Hague fait apparaître des défauts de culture sûreté, notamment en matière de prise en compte du retour d'expérience et d'analyse des risques de situations particulières d'exploitation, et de l'organisation de l'exploitation en termes de maîtrise de la sûreté avec les points quotidiens du management. Aussi, il vous appartient de prendre la mesure de cet événement et d'en tirer tous les enseignements avec la rigueur qui s'impose. 

Par ailleurs, conformément au manuel de l'utilisateur de l'échelle INES9, je vous informe que l'ASN a décidé de classer cet événement significatif au niveau 1 de cette échelle, compte tenu des problèmes de culture de sûreté ayant affecté sa gestion, à savoir : 
- « Transgression d'une procédure sans approbation préalable », - « Répétition d'un événement, lorsqu'il est prouvé que l'exploitant n'a pas fait le nécessaire pour s'assurer que les enseignements ont bien été tirés ou des mesures correctives ont bien été prises après le premier événement ». 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. 

Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

La chef de division, Signé par Hélène HERON 
7